Beiträge von NightStalk3r

Jop, der grösste Sprung ist eher bei 10 GbE beim Datentransfer zu spüren - da aber auch nur mit entsprechenden Raid, oder eben M2 NVMe SSDs.

Allerdings auch nur bei grossen Dateien. Bilder, kleine Dokumente etc. sind jetzt auch nicht ultraschnell.

Schön

Auch für die Rückmeldung

Wer ganz unglücklich ist und möchte die Namensauflösung hinbekommen:

DNS Server installieren und dem eigenen Geschmack anpassen.

Dann die IP Adresse vom DNS über die VPN.conf pushen

Gibt's aber für die Qnap nicht ? Hab ich noch nie geschaut.

Oder man trägt in der Windowseigenen hosts Datei die Namen und IP Adresse ein. Einfacher.

Also DMZ auf das NAS legen ist heftig.

Das mach ich höchstens um einen Honeypot zu stellen. Ab und zu ganz lustig

Dann ist klar das einer mit dem Guest Login drauf zugreifen kann.

Zitat

-> Was kann derjenige in meinem Fall sehen/machen

(bei meinen Privilegieneinstellungen:everyone ist alles deaktiviert - sprich nur zugewiesene Benutzer haben Rechte)

Wenn da schon seit Monaten Zugriff drauf ist, und die netten Scanner Zugriff.... wow.... ich sehe das nicht locker.

Für was Webserver und SQL Server ? Wenn es da eine Schwachstelle gibt erreicht man da locker Zugriff
(Stichwort: MyPHPAdmin).

Kann man machen. Aber dann bitte ohne Freigabe. Erreichen kann man das auch mit VPN von unterwegs.

Wenn du schon einen VPN Server laufen hast.... mach alle Dienste aus bzw. werfe nach Deaktivierung

der DMZ alle Portweiterleitungen raus... Das NAS würde ich auch komplett plattmachen.

Zitat

Beim ersten Zugriff (guest-FTP) wurde ein Trojaner am PC lokal installiert (Malware-Dharma)

sollte jetzt aber komplett bereinigt sein (Windows Defender + Hitman.Pro).

Das... verstehe ich nicht. Der Trojaner kann sich ja nicht selber installieren. Den musst du explizit irgendwie ausführen

an deinem Arbeitsplatz PC.

Ich hoffe es hat niemand dein NAS für andere schlimme "Mißbraucht", als Scanbox oder noch heftigere Sachen.

Damit meine ich keine Warez oder Moviez. Schlimmere Bilder und Videos. Sowas ist ganz schwer zu erklären.....

Ich will nicht zu direkt werden.... aber weisst du, was du tust mit DMZ, diversen Diensten ?

Ein NAS ist nichts anderes als eine Linux Kiste. Mit schöner klick-und-bunt-Oberfläche.

Darunter ist aber alles machbar mit root Rechten. Wer sich auskennt, macht alles über die Shell.

VPN über Qnap (selber nie getestet).

Wenn die Perfomance im Datendurchsatz nicht so wichtig ist, ein Raspbi oder Banana pi. OpenVPN drauf. Ist wirklich easy. Da gibt's ein OpenVPN Script. In 3 Minuten ist alles installiert und das Zertifikat drauf.

Hab das auch so laufen. Funzt einwandfrei.

Der gesamte Verkehr läuft dann übers Heimnetz. SMB geht auch. Wenn nur über IP Adressen. Was mir vollkommen reicht. QFile geht auch. Nehme aber eher Total Commander oder Efs File Explorer.

Clientsoftware:

OpenVPN

Protokoll: UDP, Verschlüsselung nach eigenem Geschmack.

Wenn solltest auch Webfiltering dazunehmen.

Kann Sophos HTTPS filtern ?

Hab jetzt seit gestern übrigens von Diladene Websafety installiert.

Der kann eben auch https Filtern. Funktioniert einwandfrei.

Adware, Tracking und Social Content werden geblockt. Dazu eben diverse bösen Seiten.

Es ist keine "Firewall". Aber wie schon gesagt. Wenn man es richtig macht müssen alle Port, egal ob ein/ausgehend von Hand freigeschaltet werden. Wenn alles nach aussen aus Faulheit genehmigt ist, braucht man auch keine Firewall.

Da reicht ein kleiner Plastikrouter wie die Fritzbox.

Tracking, Adware, Greyware etc etc. Die an Daten kommen möchte halte ich fürs grössere Problem. Da hilft auch keine Firewall. Nur ein Proxy wo der ganze Verkehr durchläuft.

Faszinierend.

Ich habe erst seit kurzer Zeit die SFP+ Module. Kein Plan wie anfällig die sind.

Aber die Vorgehensweise war gut....

Im nächsten Versuch klappt's sicher.

Das schau ich mir auch mal an:

https://www.diladele.com

Scheint auch sehr gut zu sein.

Das will ich auch mal ausprobieren.

Nachteil:

Kostet im Jahr 29.95€

Gibt aber einen Trial Key und mann kann es auch auf einer VM testen.

Ein APU2c4 reicht locker aus um Proxy, diverse Filter und noch einen OpenVPN Server laufen zu lassen. Da läuft Opnsense, IpFire etc drauf. Installation ist auch easy. Stromkosten sind sehr gering.

Die Frage ist immer wie man das konfiguriert. Firewall hört sich immer toll an.

Wenn man das wirklich richtig angeht muss man alle Ports, egal ob aus- oder eingehend sperren und einzeln freischalten.

Das ist richtig viel Arbeit. Vor allem wenn noch Onlinespiele dazukommen.

Denn bei den 0815 Firewall sind ausgehende Verbindungen meistens alle erlaubt. Upnp auch. Upnp ist richtig... baaaahhhhh

Dann würde in das APU wirklich als einzige Firewall laufen. Die Fritzbox als Modem. Sonst gibt das eine verhunzte Konfiguration mit zwei Firewalls, zwei IP Netzen etc.

Bezüglich Filter:

Ad-Blocker und Content Filter (Böse Webseiten, Ominöse Gewinnspiele etc) habe ich auch laufen.

Google etc zu blocken ist heute fast nicht mehr möglich wegen diversen Captcha Codes etc.

Sonst ist das eine tolle Sache.

Die APU Boards gibt's auch schon fertig mit Monowall, Opnsense etc. Kostet dann halt paar Euro mehr.

Ich hab mittlerweile ein Gateway mit einem i5 und 16 Gb Ram da noch zwei KVMs drauf laufen (ja, virtuelle Rechner sollte man auf einem Gateway auch nicht wirklich haben).

Dazu Webproxy, VPN Server, DNS und DHCP Server und noch ein paar solche Sachen.

Allerdings "nur" Debian 9. Alles andere manuell installiert, da flexibler.

Eine Firewall würde ich jetzt nicht in einer KVM laufen lassen. Das widerspricht alles was Sicherheit angeht.

Mit 100€ kommst aber nicht weit. Oder sind das nur die Stromkosten ? Lizensierung für die Hardwarefirewall ?

Da hast dir den Ferrari unter den Anbietern ausgesucht

Hatte ich auch mal eine sehr lange Zeit.

Die haben auch richtig gute Anleitungen gerade was VPN unter Debian/Ubuntu betrifft.

Die Kaskadierung bis zu vier Hops hat was.

Die Frage ist halt:

Wie sicher willst mit dem VPN surfen. Kommt eben drauf an was du machst

Wenn mal die VPN Verbindung abreisst merkt man das in der Regel nicht sofort. Deswegen auch der Tipp mit den IP Tables.

VPN unterbrochen -> Traffic wird geblockt.

Die Frage ist eben wie sicher die VPN Verbindung sein sollte wenn es einen Disconnect gibt.

PfSense ist nicht schlecht, ich meine es unterstützt auch bridging und nicht nur roadwarrior.

Allerdings musst du die IPTables selber definieren. Könnte auch über die Weboberfläche gehen. Man sperrt einfach allen Verkehr über die normale Lan Verbindung.

Die Frage ob man eine Firewall auf einer VM installiert lasse ich mal aussen vor. Das sowas sogar von Qnap angeboten wird. Naja

Also ich hab das eine ganze Zeit benutzt. Wenn es langsam wurde, lags am VPN Server.

Richtigen Speedtest hab ich nie gemacht.

Wenn ich mir das so anschaue sagen viele 50 Mbit gehen mit dem Raspi.

Mit einem BananaPi geht noch bisschen mehr.

Alternativ würde ein APU2c4 Board gehen mit IPSec gehen. Das Board hat einen Verschlüsselungschip. Damit sollen angeblich bis zu 400mbit gehen. Mit den entsprechenden IP Regeln und noch einem Http-Proxy mit Webfilter (Der Google, Facebook etc Adressen blockiert) wäre dass das Nonplusultra.

Welchen VPN Anbieter hast denn ? IPSec bietet glaube ich jeder an.

Okay. Ist echt faszinierend.

Hast du eine Quelle von dem fertigen LWL Kabel mit den Modulen ?

Wenn das so eins ist das man als "Originalkabel" von Qnap bekommt dann muss da wirklich was kaputt dein.

Btw:

Was ich mittlerweile gemerkt habe. Nur mit SFP+ Modul kann ich mein NAS nicht mit WoL aufwecken (über die App vom Handy). Der Switch meldet das der Port total tot ist.

Gestern ein normales RJ45 Kabel angeschlossen und alle Dienste auf dem Port deaktiviert.

Wäre interessant ob das bei dir dann genauso ist, oder ob das an meinem TP Link liegt (Der sonst Top mit 10Gbit arbeitet).

Du willst also:

- Das die VM nur über VPN geht ?

Oder:

- Die VM geht über VPN und stellt gleichzeitig noch einen Gateway für das restliche Lan/restliche VMs ?

Mhhh..... wenn du das richtig machen willst, müsstest noch IPTables anlegen um alles zu sperren wenn das VPN mal aussteigt.

Nimm einen Raspberry 3 dafür.

Anleitungen gibt's wie Sand am Meer. Den kannst dann auch so konfigurieren dass alles blockiert wenn das VPN deaktiviert ist.

So ist das auch sicher. Performance sollte beim Pi auch locker reichen.

Ist die Datei ausführbar ?

chmod +x install.sh

du kannst auch mal so probieren

sudo chmod +x install.sh

Alternativ wüsste ich nichts mehr. Mit dem install Script ist es schon sehr einfach.

Es gibt noch ein headless client auf Java basierent. Wie das schon angedeutet wird brauchst Java (gibt glaube ich auch eine headless Version). Und dazu eben noch screen dass die Konsole offen bleibt beim Beenden.

Ich schicke dir mal eine PN mit den Teilchen.

Ich hab keinen Plan ob das verlinken hier erlaubt ist.

Mach mal Fotos von allem.

Ich bin mir sicher dass es eine Kleinigkeit ist.

Das LwL Kabel kannst nicht wechseln oder ? Das ist ja eingegossen wenn ich das richtig verstehe.

Mellanox geht bei meinem NAS auch. Cisco und TP Link ebenfalls. Hab mal alles durchgewechselt. Ich habe allerdings ein anderes NAS... TS1232XU.

Zitat

F: Welches SFP+ 10 gbit LR Modul ist für das QNap NAS 1232XU kompatibel ?

A: Sehr geehrter Kunde,

Danke für deine Frage.

Wir empfehlen Ihnen, das 10Gtek Cisco kompatible SFP + LR Modul zu wählen. Da QNAP-Geräte keine spezielle Codierung erfordern, sind Cisco-kompatible Module auch mit QNAP kompatibel.

Hoffe, unsere Antwort kann Ihnen helfen.

Danke und viele Grüße,

Shirley

Alles anzeigen

Edit:

Ich kenne jetzt den Switch nicht.

Der hat ja auch 10Gbit Kupfer.

Ist da was angeschlossen ? Manche Switches haben solche Ports wo das SFP+ Modul deaktiviert wird wenn RJ45 angeschlossen ist.

Du könntest dir für deinen Rechner bei Ebay noch eine Mellanox Karte holen. Kosten wenig. Etwa 29€. Dazu noch das Mellanox Modul von GTek.

Das muss dann wirklich eine Verbindung hergestellt werden.

Eventuell liegt es an den SFP+ Modulen (Hersteller, Codierung).

Manchmal gehts, manchmal gehts nicht.

Vielleicht sogar ein komplett falsches Modul (DAC&AOC Kabel ?)

Ich habe einen TP-Link Switch, der nimmt auch Cisco und Mellanox Module (Versehentlich

ein Modul falsch bestellt). Funktioniert aber trotzdem. Anscheinend ist der TP-Link Switch nicht kodiert.

Manche Switche haben das. Dann geht nur -wie bei dir- ein Cisco Modul bzw. ein alternatives Modul als

Cisco codiert.

Wenn, würde ich dir die 10GTek Module empfehlen. Der Händler ist Top, hat mir gut geholfen um die ersten

Erfahrungen zu sammeln um LWL Bereich.

Das günstigste NAS wäre die TS-831. Etwa 870€.

Aber es lohnt sich so gesehen nicht wirklich.

Wenn ich jetzt zuhause als Hobby 14h Videobearbeitung mache und jede Datei ist 200 Gigabyte gross. Okay.

Hat sich bei mir eben nur so ergeben.

Zitat

Was ich möchte:

1 Client (10GBE) + NAS (Portbündelung 4x 1Gbe) = theoretisch 400mb/s

Das wird leider nicht funktionieren. Selber versucht. Ausser du greift eben auf das NAS mit 4 verschiedenen Rechnern zu.

Oder du legst verschiedene Dienste auf Port 1-4, damit sich alles etwas verteilt.

Was ich mittlerweile getan habe um höhere Geschwindigkeiten zu kommen:

TP-Link T1700-28TQ (4x SFP+ Ports mit 10Gbit)

QNap TS-1232 mit 10 GBit SFP+ Modul

Rechner/Router ebenfalls mit Mellanox2 Karte + 10 GBit SFP+ Modul

Allerdings alles auf Glasfaser - die SFP+ RJ45 10 GBit Module sind unbezahlbar.

Die Mellanox Karten gibts billig auf Ebay - die SFP+ Module für ~30€ bei Amazon.

Glasfaser/LWL benötigt auch pro Port etwa 7x weniger Strom. (10Gbit Kupfer ~7 Watt, 10Gbit LWL ~1 Watt)

Geschwindigkeit immer NAS auf PC mit einer M2.nvme, Testdatei 50 Gb groß:

Von M2.nvme unverschlüsselt: ~850 mb/s

Von M2.nvme verschlüsselt: ~400 mb/s

Von Raid 6 (HGST 10 tb Platten) unverschlüsselt: ~650 mb/s

Von Raid 6 (HGST 10 tb Platten) verschlüsselt: ~380 mb/s

MTU im Netzwerk natürlich auf 9000 gestellt.

Vom Router zum NAS auf Grund einer normalen 3,5" Platte (8tb 0815): 180 mb/s

Ob sich er Aufwand lohnt ? Das soll jeder für sich entscheiden.

Wie greift du auf das NAS zu ? Über \\NAS-NAME oder \\IP-Adresse ?

Eine zusätzliche Software drauf wie AVG, Kaspersky, Sophos Internetsecurity und wie sie alle heißen drauf ?

Ist der Laptop im privaten Netzwerk ?

Datei/Druckerfreigabe aktiviert ?